Questões de Concursos Segurança da Informação

Uma empresa cuja matriz está localizada em Brasília possui três filiais localizadas em outras cidades do Brasil. As atribuições da matriz incluem analisar todas as propostas de negócio e autorizar os valores finais da negociação, além de analisar a documentação dos clientes para a liberação do crédito. Como atende a clientes em cidades onde não possui pontos de atendimento, a empresa recebe as propostas e documentos dos clientes eletronicamente e fecha contratos à distância. Os clientes também podem ser atendidos nas filiais, caso em que elas se responsabilizam pela recepção dos documentos e pelo seu envio, por meio eletrônico, para a matriz.

Com base nessa situação hipotética, julgue os seguintes itens.

Para garantir o sigilo dos dados trocados entre as filiais utilizando-se algoritmos de criptografia simétrica, é necessário que as chaves criptográficas sejam aleatoriamente definidas a cada transação.

Considere:

I. Norma preparada para prover um modelo para o estabelecimento, implementação, operação, monitoramento, revisão, manutenção e melhoria de um Sistema de Gestão de Segurança da Informação.

II. Código de Prática para Gestão da Segurança da Informação. Constitui-se de um conjunto completo de recomendações para a gestão da segurança da informação e serve como referência para a criação e implementação de práticas de segurança reconhecidas internacionalmente, incluindo políticas, diretrizes, procedimentos e controles.

III. Permite que uma empresa construa de forma muito rápida uma política de segurança baseada em controles de segurança eficientes, sendo que, na sua falta, os outros caminhos para se fazer o mesmo são constituição de uma equipe para pesquisar o assunto ou contratar uma consultoria para realizar essas tarefas.

IV. Em ordem sucessiva, deve-se definir quais são seus limites, (abrangência física, lógica e pessoal); relacionar os recursos que serão protegidos; relacionar quais são as possíveis ameaças a esses recursos, quais são as vulnerabilidades a que eles estão submetidos e qual seria o impacto da materialização dessas ameaças. Com base nessas informações priorizam-se os controles necessários para garantir a segurança de tais recursos.

As afirmações referem-se, respectivamente, a:

Avaliando as sentenças seguintes a respeito de segurança em sistemas de informação,

I. O RSA é um algoritmo de criptografia (codificação) muito utilizado na WEB e se baseia no conceito de chave pública e privada, que utilizam senhas diferentes para cifrar e decifrar os dados.

II. O algoritmo RSA pode ser utilizado para implementar assinatura digital, uma vez que cada usuário utiliza a sua chave privada exclusiva para cifrar (codificar) a mensagem, enquanto a chave pública é utilizada pelo receptor para decifrar a mensagem recebida.

III. Por mais que haja investimento em prevenção de desastres, é sempre necessário haver um plano de backups frequentes como forma de redução de riscos e recuperação de desastres.

IV. A utilização de firewalls pode proteger contra ataques de invasores. Por essa razão, são considerados locais apropriados para execução de mecanismos de detecção de intrusão.

verifica-se que

A segurança em recursos humanos visa assegurar que os funcionários, fornecedores e terceiros entendam suas responsabilidades e estejam de acordo com os seus papéis, e reduzir o risco de roubo, fraude ou mau uso de recursos. Sobre os papéis e responsabilidades pela segurança da informação de funcionários, fornecedores e terceiros, descrita na norma ISO/IEC 27002:2005, convém que sejam

Considere:

I. A Infraestrutura de Chaves Públicas (ICP) pode ser formada por órgão, ou iniciativa pública ou privada, com competência para definir os padrões técnicos e práticos para suportar um sistema criptográfico com base em certificados digitais.

II. A AC Raiz da ICP-Brasil, representada pelo ITI, é a responsável por fazer o credenciamento e auditoria de toda a cadeia hierárquica de confiança e delega às ACs a responsabilidade pela fiscalização e supervisão das ARs.

III. Nos níveis de hierarquia que formam a cadeia de confiança de uma ICP, apenas o segundo nível, sempre representado por uma AC, está habilitado para gerar um certificado digital.

IV. A obtenção de um certificado digital pode ser feita por qualquer pessoa jurídica ou física, bastando apresentar fisicamente a documentação necessária a uma AR, que passará esses dados para a AC à qual é subordinada.

É correto o que consta APENAS em

A autoridade Certificadora Raiz da ICPBrasil é o

Em sistemas de criptografia assimétrica existem duas chaves com funções complementares que devem ser mantidas em segredo.

De acordo com a NBR ISO/IEC 27001:2013, julgue o próximo item, relativo a aquisição, desenvolvimento e manutenção de sistemas.

A norma em questão visa garantir que a segurança da informação seja parte integrante de todo o ciclo de vida dos sistemas de informação, o que inclui os serviços sobre redes públicas.

Dos algoritmos criptográficos seguintes, aquele que é um algoritmo assimétrico mais utilizado:

Em conjunto com as funções de resumo criptográfico (hash),

a criptografia simétrica proporciona autenticidade.

A NBR ISO/IEC 27002, quando trata dos controles de entrada física, estabelece algumas diretrizes para implementação, utilizando os seguintes termos: convém que sejam levadas em consideração as seguintes diretrizes. Em seguida, lista as diretrizes as quais pretende que sejam levadas em consideração. Dentre essas diretrizes, NÃO há uma especificando que

A análise de vulnerabilidades, quando realizada no arcabouço de uma atividade de análise de riscos, é precedida, usualmente, da análise de ameaças, mas antecede a análise de controles, podendo cada controle inexistente ser traduzido em uma vulnerabilidade existente.

A confidencialidade dos votos não será violada pela captura de tráfego na Internet, sem que sejam quebradas as proteções oferecidas pelo protocolo TLS/SSL.

Sobre mecanismos de segurança em redes de computadores, Honeypot é um

As tentativas de invasão às redes de computadores têm sido objeto de preocupação dos profissionais de segurança nas empresas. Uma técnica utilizada por fraudadores está caracterizada a seguir:

- Mensagens são enviadas por e-mail, que parecem ser originadas de instituições financeiras ou empresas idôneas, contêm um link falso que leva o cliente para um site também falso, mas muito parecido com o original da instituição financeira/empresa anunciada.

- O conteúdo do e-mail induz o cliente/usuário a fornecer dados pessoais e financeiros, por exemplo, por meio de falsa atualização de informações cadastrais. Nesse caso, os dados digitados pelo cliente, como, por exemplo, o número da sua agência, conta-corrente ou poupança, e senha, são capturados pelo cracker/hacker, e utilizado posteriormente.

Essa técnica é conhecida por

Analise as seguintes afi rmações relacionadas à Segurança da Informação e os objetivos do controle de acesso:

I. A disponibilidade é uma forma de controle de acesso que permite identifi car os usuários legítimos da informação para que lhes possa ser liberado o acesso, quando solicitado.
II. A confi dencialidade é uma forma de controle de acesso que evita que pessoas não autorizadas tenham acesso à informação para criá-la, destruí-la ou alterá-la indevidamente.
III. O IDS (Intrusion Detection System) é um dispositivo complementar à proteção contra invasão de redes, que inspeciona uma rede de dentro para fora, identifi ca e avalia padrões suspeitos que podem identifi car um ataque à rede e emite um alarme quando existe a suspeita de uma invasão.
IV. A integridade é uma forma de controle de acesso que evita o acesso de pessoas não autorizadas a informações confi denciais, salvaguardando segredos de negócios e protegendo a privacidade de dados pessoais.

Indique a opção que contenha todas as afi rmações verdadeiras.